Publisere ein heime-VPN: kva du faktisk eksponerer

Du sender éin port vidare for tunnelen og fortel deg sjølv at endringa er avgrensa. I praksis slepp porten berre pakkar inn; det som ligg bak han, er eksponeringa. Tre ting avgjer den eksponeringa: sockelen som lyttar på den offentlege sida, identiteten tunnelen godtek, og destinasjonane som identiteten deretter kan nå. Kvar av dei treng sitt eige svar, fordi eit nøye val i éin ikkje avgrensar dei andre.

Vidaresending av ein port er ikkje ei teneste

Ein rutarregel flyttar pakkar mot ein vert; han namngir ikkje prosessen som les dei. Vidaresendingssida og den lyttande sockelen ligg på ulike stader, difor kan ein regel peike på ein maskin som ikkje lenger køyrer tenesta. For å finne ut kva som faktisk svarar, sjå på verten: ss -lntup listar opp kvar lyttande sockel med prosessen som eig han. Match deretter prosessen med ein komponent, ein versjon og ein eigar.

Å fjerne regelen du hugsar at du laga, lukkar ikkje døra. Ei UPnP-mapping kan ha lagt seg til sjølv, ei IPv6-adresse kan bli verande tilgjengeleg etter at IPv4-oppføringa er borte, og ein andre publiseringsmetode kan finnast på ein annan maskin. Les UPnP-mappinglista til rutaren og dei statiske oppføringane, og test deretter utanfrå netverket.

Innlogging er ikkje løyve til LAN

Tunnelen avgjer kven som får kople til; ressursane avgjer kva ein tilkopla klient får opne. NIST si nulltillitsrettleiing gjer same oppdelinga på nettverksskala: ei adresse beviser ingenting om autorisasjon. Gi éin registrert berbar PC éi oppgåve, til dømes å lese ei fildeling på ein namngitt vert, og skriv ned paret. Ei tunneladresse bør ikkje arve administrator tilgang til resten av huset.

Undersøk òg stiane som eit samandrag utelèt: klient-til-klient-trafikk, brummedlemskap, internettvidaresending og kjeldeomsetjing. Kvar av dei kan knyte saman to system som den skriftlege oppgåva di aldri nemner. Slå av dei oppgåva ikkje treng, og list deretter opp kva klienten framleis kan nå.

Ein rein skanning beviser svært lite

Ein open port er eit faktum om éi adresse og éin protokoll; ei vellukka innlogging er eit faktum om éin legitimasjon. Ingen av dei seier kva som skjer vidare. Test den tiltenkte operasjonen på den tiltenkte verten, prøv deretter ein identitet som aldri vart registrert, ei teneste ingen godkjende, og administrasjonsgrensesnittet som skal halde fram med å vere privat. Den siste testen er vanlegvis den som feilar.

Test begge adressefamiliane og kvar sti du publiserer. Ein skanning av IPv4-adressa seier ingenting om ei lyttande IPv6-teneste, og ein intern test kan ikkje sjå eit NAT-loopback-problem eller eit filter lenger oppe. Køyr minst éin kontroll utanfrå, på ei tilkopling som ikkje kjem tilbake gjennom same rutar.

Skriv ned eksponeringa

Ein kort tabell gjer gjennomgangen til noko neste person kan revidere. Fyll han ut utanfrå og inn, éi rad per tilgjengeleg teneste, og oppbevar han saman med konfigurasjonen, ikkje i ein chatttråd. Viss ei rad ikkje har nokon eigar, er det eit funn.

Rader som berre seier «VPN» er ikkje rader enno. Ei rad treng sockelen, verten, identiteten og destinasjonen, fordi det er det ein revisor eller åtakar ville teste.

Planlegg avviklinga før du treng henne

Ein tunnel du ikkje kan kalle tilbake, er ei permanent dør. Bestem på førehand korleis du kallar tilbake ein einingslegitimasjon, avsluttar ei aktiv økt og gjenopprettar tilgang etter at ei oppgradering øydelegg tenesta. Hald ein gjenopprettingsrute som ikkje går gjennom tunnelen, fordi tunnelen er det du skal reparere. Oppbevar han der du kan nå han utan den maskinen.

Gjennomgangen er ferdig når den tiltenkte destinasjonen verkar og dei uønska ikkje gjer det. Det er ikkje ein garanti for at ingen sårbarheit finst, og ein skannar sin grøne etikett erstattar ingen av delane. Overlever tabellen og gjenopprettingsnotatet til den som arvar oppsettet.